ઓપન ક્લીકહાઉસ ડેટાબેઝને કારણે દર્દીઓ અને ડોકટરોના અંગત ડેટાને કેવી રીતે નુકસાન થઈ શકે છે

હું વિશ્વના લગભગ તમામ દેશોમાં મુક્તપણે સુલભ ડેટાબેસેસની શોધ વિશે ઘણું લખું છું, પરંતુ સાર્વજનિક ડોમેનમાં રશિયન ડેટાબેસેસ વિશે લગભગ કોઈ સમાચાર નથી. જોકે તાજેતરમાં લખ્યું "ક્રેમલિનના હાથ" વિશે, જે એક ડચ સંશોધક 2000 થી વધુ ખુલ્લા ડેટાબેઝમાં શોધવાથી ગભરાઈ ગયો હતો.

ત્યાં એક ગેરસમજ હોઈ શકે છે કે રશિયામાં બધું સરસ છે અને મોટા રશિયન ઑનલાઇન પ્રોજેક્ટ્સના માલિકો વપરાશકર્તા ડેટા સ્ટોર કરવા માટે જવાબદાર અભિગમ અપનાવે છે. હું આ ઉદાહરણનો ઉપયોગ કરીને આ દંતકથાને દૂર કરવા ઉતાવળ કરું છું.

રશિયન ઓનલાઈન મેડિકલ સર્વિસ DOC+ દેખીતી રીતે જ સાર્વજનિક રીતે ઉપલબ્ધ એક્સેસ લોગ સાથે ક્લિકહાઉસ ડેટાબેઝ છોડવામાં સફળ રહી. કમનસીબે, લૉગ્સ એટલા વિગતવાર દેખાય છે કે સેવાના કર્મચારીઓ, ભાગીદારો અને ગ્રાહકોનો વ્યક્તિગત ડેટા લીક થઈ શકે છે.

પ્રથમ વસ્તુઓ પ્રથમ ...

Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Скриншоты взяты либо из открытых источников, либо были предоставлены автору анонимными доброжелателями.

મારી સાથે, ટેલિગ્રામ ચેનલના માલિક તરીકે "માહિતી લીક", એક ચેનલ રીડર કે જેઓ અનામી રહેવા ઈચ્છતા હતા તે સંપર્કમાં આવ્યા અને શાબ્દિક રીતે નીચેની જાણ કરી:

ઈન્ટરનેટ પર એક ખુલ્લું ક્લિકહાઉસ સર્વર મળી આવ્યું હતું, જે કંપની ડોક+નું છે. સર્વર IP સરનામું એ IP સરનામાં સાથે મેળ ખાય છે કે જેના પર docplus.ru ડોમેન ગોઠવેલું છે.

વિકિપીડિયા પરથી: DOC+ (ન્યૂ મેડિસિન એલએલસી) એ રશિયન મેડિકલ કંપની છે જે ટેલિમેડિસિન ક્ષેત્રે સેવાઓ પૂરી પાડે છે, ઘરે ડૉક્ટરને બોલાવે છે, સ્ટોરેજ અને પ્રોસેસિંગ કરે છે. વ્યક્તિગત તબીબી માહિતી. કંપનીએ યાન્ડેક્ષ પાસેથી રોકાણ મેળવ્યું.

એકત્રિત કરેલી માહિતીને આધારે, ક્લિકહાઉસ ડેટાબેઝ ખરેખર મુક્તપણે સુલભ હતો, અને કોઈપણ, IP સરનામું જાણતા, તેમાંથી ડેટા મેળવી શકે છે. આ ડેટા સંભવતઃ સર્વિસ એક્સેસ લોગ્સ હોવાનું બહાર આવ્યું છે.

જેમ તમે ઉપરના ચિત્રમાંથી જોઈ શકો છો, www.docplus.ru વેબ સર્વર અને ક્લિકહાઉસ સર્વર (પોર્ટ 9000) ઉપરાંત, મોંગોડીબી ડેટાબેઝ એ જ આઈપી એડ્રેસ પર ખુલ્લું લટકી રહ્યું છે (જેમાં, દેખીતી રીતે, ત્યાં કંઈ નથી. રસપ્રદ).

જ્યાં સુધી હું જાણું છું, Shodan.io સર્ચ એન્જિનનો ઉપયોગ ClickHouse સર્વરને શોધવા માટે કરવામાં આવ્યો હતો (લગભગ કેવી રીતે સંશોધકો ઓપન ડેટાબેઝ શોધે છે મેં એક ખાસ સ્ક્રિપ્ટ સાથે જોડાણમાં અલગથી લખ્યું છે ક્લિક ડાઉન, જેણે પ્રમાણીકરણના અભાવ માટે મળેલા ડેટાબેઝની તપાસ કરી અને તેના તમામ કોષ્ટકોને સૂચિબદ્ધ કર્યા. તે સમયે તેમાંથી 474 જણાતા હતા.

દસ્તાવેજીકરણમાંથી આપણે જાણીએ છીએ કે મૂળભૂત રીતે, ક્લિકહાઉસ સર્વર પોર્ટ 8123 પર HTTP સાંભળે છે. તેથી, કોષ્ટકોમાં શું સમાયેલ છે તે જોવા માટે, આ SQL ક્વેરી જેવું કંઈક ચલાવવા માટે પૂરતું છે:

http://[IP-адрес]:8123?query=SELECT * FROM [название таблицы]

વિનંતીને અમલમાં મૂકવાના પરિણામે, જે કદાચ પાછું આપી શકાય છે તે નીચે સ્ક્રીનશોટમાં દર્શાવેલ છે:

સ્ક્રીનશોટ પરથી તે સ્પષ્ટ છે કે ક્ષેત્રની માહિતી હેડર્સ વપરાશકર્તાના સ્થાન (અક્ષાંશ અને રેખાંશ) વિશેનો ડેટા, તેનું IP સરનામું, તે ઉપકરણ વિશેની માહિતી કે જેમાંથી તેણે સેવા સાથે કનેક્ટ કર્યું છે, OS સંસ્કરણ વગેરે વિશેનો ડેટા ધરાવે છે.

જો કોઈને SQL ક્વેરી સહેજ સંશોધિત કરવાનું થયું હોય, ઉદાહરણ તરીકે, આના જેવું:

http://[IP-адрес]:8123?query=SELECT * FROM [название таблицы] WHERE REQUEST LIKE ‘%25Profiles%25’

પછી કર્મચારીઓના અંગત ડેટા જેવું જ કંઈક પરત કરી શકાય છે, એટલે કે: આખું નામ, જન્મ તારીખ, જાતિ, કર ઓળખ નંબર, નોંધણી અને રહેઠાણનું વાસ્તવિક સ્થાન, ટેલિફોન નંબર, સ્થિતિ, ઇમેઇલ સરનામાં અને ઘણું બધું:

ઉપરના સ્ક્રીનશૉટમાંથી આ બધી માહિતી 1C: Enterprise 8.3 ના HR ડેટા જેવી જ છે.

પરિમાણ પર નજીકથી નજર નાખો API_USER_TOKEN તમે વિચારી શકો છો કે આ એક "કાર્યકારી" ટોકન છે જેની મદદથી તમે વપરાશકર્તા વતી વિવિધ ક્રિયાઓ કરી શકો છો, જેમાં તેનો વ્યક્તિગત ડેટા મેળવવાનો સમાવેશ થાય છે. પરંતુ અલબત્ત હું આ કહી શકતો નથી.

આ ક્ષણે એવી કોઈ માહિતી નથી કે ક્લિકહાઉસ સર્વર હજી પણ સમાન IP સરનામાં પર મુક્તપણે ઍક્સેસિબલ છે.

સોર્સ: www.habr.com